ISO 22301 Nedir? İş Sürekliliği Yönetim Sistemi Gereklilikleri

Yedekleme yazılımı, ikinci veri merkezi ve imzalı bir acil durum planı olan şirketler ISO 22301 denetiminde çoğu zaman aynı yerden takılır: planın hangi iş etki analizine dayandığını, hedefleri kimin onayladığını ve planın en son ne zaman tatbik edildiğini gösteremezler. ISO 22301, iş sürekliliği yönetim sisteminin (İSYS) gerekliliklerini tanımlar; kuruluşun kesintiye hazırlanmasını, kesinti sırasında öncelikli faaliyetlerini sürdürmesini ve normale dönmesini bir yönetim döngüsüne bağlar. Aşağıda madde yapısını, standarda özgü gereklilikleri, her maddenin ürettiği çıktıyı ve belgelendirme adımlarını; bilgi güvenliği ve kalite sorumluları ile ISO 27001 belgeli şirketlerin uyum ekipleri için sade bir sırayla anlatıyoruz.

ISO 22301’in amacı ve yapısı

Standardın güncel sürümü ISO 22301:2019’dur (“Security and resilience — Business continuity management systems — Requirements”); ilk baskı 2012’de yayımlanmıştı. 2024’te yayımlanan bir değişiklikle (Amd 1:2024), birçok yönetim sistemi standardında olduğu gibi, kuruluşun bağlamı maddelerine iklim değişikliğinin ilgili bir konu olup olmadığının değerlendirilmesi eklendi. Belgelendirme denetimleri bu değişiklikle birlikte yürütülür.

ISO 22301, ISO’nun yönetim sistemleri için ortak üst düzey yapısını kullanır. ISO 9001 veya ISO 27001 ile çalışmış biri madde sıralamasını hemen tanır:

• Madde 4 – Kuruluşun bağlamı: iç ve dış konular, ilgili taraflar, yasal ve düzenleyici gereklilikler, İSYS kapsamı.
• Madde 5 – Liderlik: üst yönetim taahhüdü, iş sürekliliği politikası, roller ve yetkiler.
• Madde 6 – Planlama: riskler ve fırsatlar, iş sürekliliği hedefleri, İSYS değişikliklerinin planlanması.
• Madde 7 – Destek: kaynaklar, yetkinlik, farkındalık, iletişim, dokümante bilgi.
• Madde 8 – Operasyon: standardın iş sürekliliğine özgü çekirdeği.
• Madde 9 – Performans değerlendirme: izleme ve ölçme, iç denetim, yönetimin gözden geçirmesi.
• Madde 10 – İyileştirme: uygunsuzluk, düzeltici faaliyet ve sürekli iyileştirme.

Uygulama rehberliği ISO 22313’te, iş etki analizi rehberliği ISO/TS 22317’de, tedarik zinciri sürekliliği rehberliği ISO/TS 22318’de yer alır. Bu dokümanlar gereklilik içermez; denetimde ölçüt ISO 22301’in kendisidir. Rehber doküman yardımcıdır. Ölçüt değildir.

İş sürekliliğine özgü maddeler

Madde 4–7 ve 9–10 diğer yönetim sistemleriyle büyük ölçüde ortaktır. ISO 22301’i ayıran içerik madde 8’dedir ve denetçinin zamanının çoğu burada geçer:

• 8.2 İş etki analizi ve risk değerlendirmesi: Etki kriterleri, öncelikli faaliyetler, zaman çerçeveleri (MTPD ve RTO bu maddenin notlarında anılır), kaynaklar ve bağımlılıklar; ayrıca öncelikli faaliyetleri kesintiye uğratabilecek risklerin değerlendirilmesi. Yöntem için iş etki analizi rehberine bakabilirsiniz.
• 8.3 Strateji ve çözümler: BIA ve risk değerlendirmesine dayanarak kesinti öncesi, sırası ve sonrası için seçeneklerin belirlenmesi ve seçilmesi; insanlar, bilgi ve veri, bina ve altyapı, tesis ve ekipman, BT sistemleri, ulaşım ve lojistik, finans ve ortaklar gibi kaynak gereksinimlerinin karşılanması.
• 8.4 Planlar ve prosedürler: Müdahale yapısı (ekipler, yetkiler), uyarı ve iletişim, iş sürekliliği planları ve kurtarma (normale dönüş). Plan dokümanının içeriği için BCP içeriği rehberi ayrıntı verir.
• 8.5 Tatbikat programı: Planların ve çözümlerin planlı aralıklarla ve önemli değişikliklerde tatbik edilmesi, sonuçların raporlanması ve iyileştirmelerin yürütülmesi.
• 8.6 Dokümantasyon ve yeteneklerin değerlendirilmesi: Planların, BIA’nın ve stratejilerin uygunluğunun, yeterliliğinin ve etkinliğinin tatbikatlar, olay sonrası incelemeler ve performans değerlendirmeleriyle gözden geçirilmesi.

Madde 8 dışındaki bazı gereklilikler de süreklilik bakışıyla farklılaşır. 7.4 iletişim maddesi İSYS’ye ilişkin olağan iç ve dış iletişimi düzenler; kesinti sırasındaki uyarı ve iletişim ise 8.4.3’te ayrıca ele alınır: ilgili taraflarla, gerektiğinde medyayla ve yetkili mercilerle iletişim, iletişim kanallarının kesinti sırasında da kullanılabilir olması ve bu düzenlemelerin tatbik edilmesi. Pratikte bunun anlamı basittir: kriz iletişimi kurumsal e-postaya bağlıysa ve e-posta da kesintiden etkileniyorsa, 8.4.3 karşılanmamıştır.

Madde–çıktı eşleme tablosu

Belgelendirme hazırlığında en çok zaman kaybettiren şey, hangi maddenin hangi somut çıktıyla karşılandığının bilinmemesidir. Denetçi “8.5 için ne gösterebilirsiniz?” diye sorduğunda klasör aramaya başlayan ekip zaten geç kalmıştır. Aşağıdaki tablo tipik çıktıları gösterir. Standardın “dokümante bilgi” olarak açıkça istediği kalemlerle iyi uygulama gereği tutulan kayıtlar arasında fark olabilir; nihai liste kuruluşun kapsamına göre oluşturulur.

Madde	Konu	Tipik çıktı
4.1–4.2	Bağlam, ilgili taraflar, yasal gereklilikler	Bağlam analizi, ilgili taraflar ve yükümlülükler listesi
4.3	Kapsam	Kapsam dokümanı ve hariç tutma gerekçeleri
5.2–5.3	Politika, roller	İş sürekliliği politikası, rol ve yetki tanımları
6.1–6.2	Risk ve fırsatlar, hedefler	İSYS risk/fırsat kaydı, ölçülebilir hedefler ve eylem planı
7.2–7.3	Yetkinlik, farkındalık	Eğitim kayıtları, ekip üyelerinin yetkinlik kanıtı
8.2	BIA ve risk değerlendirmesi	Onaylı BIA, süreklilik risk değerlendirmesi
8.3	Strateji ve çözümler	Strateji kararları, kaynak gereksinimleri
8.4	Planlar ve prosedürler	Müdahale yapısı, iletişim prosedürü, BCP’ler, kurtarma prosedürleri
8.5	Tatbikat programı	Yıllık tatbikat planı, tatbikat raporları
8.6	Değerlendirme	Plan gözden geçirme kayıtları, olay sonrası inceleme
9.1–9.3	İzleme, iç denetim, YGG	Gösterge raporları, iç denetim raporu, YGG tutanağı
10.1	Uygunsuzluk ve düzeltici faaliyet	DÖF kayıtları

ISO 27001 ile ortak yönler ve farklar

ISO 27001 belgeli bir kuruluş ISO 22301’e sıfırdan başlamaz. Ortak yapı sayesinde doküman kontrolü, iç denetim, yönetimin gözden geçirmesi ve DÖF süreçleri tek bir yönetim sistemi altında yürütülebilir. Entegre yapının nasıl kurulacağı ISO 27001, ISO 9001 ve ISO 22301 entegre yönetim sistemi yazısında ayrıca ele alınır.

Kontrol düzeyinde de kesişim var. ISO 27001:2022 Ek A’daki 5.29 (kesinti sırasında bilgi güvenliği), 5.30 (iş sürekliliği için BİT hazırlığı), 8.13 (bilgi yedekleme) ve 8.14 (bilgi işleme olanaklarının yedekliliği) kontrolleri ISO 22301’in BT boyutuyla doğrudan ilişkilidir. Özellikle 5.30, BİT hazırlığının iş sürekliliği hedeflerine göre planlanmasını bekler. BIA’dan türetilmiş hedef yoksa bu kontrol tam karşılanamaz; “her gece yedek alıyoruz” cümlesi hangi RPO’yu karşıladığını söylemez.

Konu	ISO 27001	ISO 22301
Odak	Bilginin gizliliği, bütünlüğü, erişilebilirliği	Ürün ve hizmetlerin kesinti sırasında sürdürülmesi
Temel analiz	Bilgi güvenliği risk değerlendirmesi	BIA ve süreklilik risk değerlendirmesi
Kontrol seti	Ek A ve Uygulanabilirlik Bildirgesi	Ek kontrol listesi yok; strateji ve plan
Test yükümlülüğü	Kontrol bazında (ör. yedek testleri)	Zorunlu tatbikat programı
Kapsam birimi	Bilgi varlıkları ve süreçler	Ürün, hizmet ve öncelikli faaliyetler

Belgelendirme süreci

Belgelendirme, akredite bir belgelendirme kuruluşu tarafından iki aşamalı denetimle yapılır. Hazırlık tipik olarak şu sırayı izler:

1. Mevcut durum analizi: Mevcut acil durum planları, yedekleme ve DR düzenlemeleri, varsa ISO 27001 veya ISO 9001 süreçleri standarda göre değerlendirilir. Burada en çok çıkan bulgu, DR düzeninin hiçbir iş hedefine bağlanmamış olmasıdır.
2. Kapsam ve politika: Hangi ürün, hizmet ve lokasyonların İSYS kapsamında olacağı yönetimle belirlenir.
3. BIA ve risk değerlendirmesi: Öncelikli faaliyetler ve hedefler onaylanır.
4. Strateji ve planlar: Müdahale yapısı, iletişim prosedürü, iş sürekliliği ve kurtarma planları hazırlanır.
5. Tatbikat: Belgelendirme öncesinde en az bir tatbikatın yapılmış ve raporlanmış olması, denetimde planların işlerliğini gösteren en güçlü kanıttır.
6. İç denetim ve YGG: Sistemin tam bir döngüsünün işlediği gösterilir.
7. Aşama 1 ve Aşama 2 denetimleri: Aşama 1 dokümantasyonu ve hazırlığı, Aşama 2 uygulamanın etkinliğini değerlendirir. Süreç mantığı ISO 27001 ile benzerdir; ayrıntılar için Aşama 1 ve Aşama 2 denetim süreci yazısına bakabilirsiniz.

Belge üç yıllık bir döngü içinde geçerlidir; bu dönemde yıllık gözetim denetimleri, döngü sonunda yeniden belgelendirme denetimi yapılır. Belgelendirme kuruluşunun ISO 22301 kapsamında akredite olup olmadığını kontrol edin; akreditasyonsuz bir belge müşteri denetiminde sorgulanır.

Küçük ve orta ölçekli şirketler için uygulama ölçeği

Standart, kuruluşun büyüklüğüne göre doküman sayısı dayatmaz. Orta ölçekli bir şirkette tek bir iş sürekliliği planı, ekli görev kartları ve bir BT kurtarma planı çoğu zaman yeterlidir. Her departmana ayrı plan yazmak bakım yükünü artırır; bir yıl sonra planların yarısı eski telefon numaralarıyla dolaşır. Ölçeklendirmede şu ilkeler işe yarar:

• Kapsamı önce kritik ürün ve hizmetlerle sınırlayın; ilk belgelendirme döngüsünde kapsamı genişletmek mümkündür.
• BIA’yı faaliyet düzeyinde ama sade bir formla yürütün.
• Küçük şirketlerde kriz ekibi ile iş sürekliliği ekibini aynı yapı altında birleştirin; yetkileri ise ayrı yazın.
• Tatbikat programını gerçekçi tutun: yılda bir masa başı tatbikat ve bir teknik geri yükleme testi, kâğıtta kalan iddialı bir programdan daha değerlidir.
• ISO 27001 varsa doküman kontrolü, iç denetim ve YGG’yi ortak yürütün.

Standarda göre kurulum ve belgelendirme hazırlığının nasıl yürütüldüğü ISO 22301 iş sürekliliği yönetimi danışmanlığı sayfasında; birden fazla standardın birlikte yönetildiği yapı ise entegre uyum programı sayfasında açıklanır. Standardın resmi künyesi için ISO 22301:2019 sayfasına bakabilirsiniz.

Sık sorulan sorular

ISO 22301 belgesi almak için ISO 27001 belgesi gerekir mi?

Gerekmez. ISO 22301 bağımsız olarak belgelendirilebilir. ISO 27001 belgeli kuruluşlar ise ortak yapı sayesinde doküman kontrolü, iç denetim ve yönetimin gözden geçirmesi süreçlerini yeniden kullanarak hazırlığı kısaltabilir.

ISO 22301 ile ISO 22313 arasındaki fark nedir?

ISO 22301 gereklilik standardıdır ve belgelendirme denetimi buna göre yapılır. ISO 22313 aynı gerekliliklerin nasıl uygulanabileceğine dair rehberlik verir; ondan belge alınmaz.

Belgelendirme denetiminden önce tatbikat yapmak zorunlu mu?

Standart, tatbikat programının uygulanmasını ve sonuçların değerlendirilmesini bekler. Hiç tatbikat yapılmamış bir sistemde bu gerekliliğin karşılandığını göstermek zordur; bu yüzden belgelendirme öncesinde en az bir tatbikatın raporlanmış olması pratikte gereklidir.

İSYS kapsamı tüm şirketi kapsamak zorunda mı?

Hayır. Kapsam belirli ürün, hizmet veya lokasyonlarla sınırlandırılabilir. Kapsam sınırları ve hariç tutulanlar gerekçesiyle dokümante edilmeli, kapsamdaki hizmetlerin dışarıdaki bağımlılıkları da yönetilmelidir.